[WSUS] Wsus negeert no-restart GPO.

[Verwijderd]

Goedemiddag Tweakers,

Recentelijk heb ik hier in het netwerk WSUS uitgerold, uiteraard compleet met GPO settings zoals ik hem wil. (waaronder het niet automatisch opnieuw opstarten als hij klaar is met de updates). Alles goed alles aardig.
Nou loopt het hier al een tijdje en vond ik het tempo waarmee te updates geïnstalleerd worden te traag gaan.
Na wat googlen de conclusie getrokken dat dat af te vangen is met het gebruiken van deadlines, desnoods 1 in het verleden. Dus ik dacht mooi dat doen we.

Helaas bleek dit ten gevolge te hebben dat de gebruiker geforceerd word te rebooten waarmee effectief de specifiek hiervoor in plaats gezette GPO genegeerd word, dit is uiteraard extreem onwenselijk. (wie heeft dit bedacht?)
Hoe ik dit echter onklaar kan maken heb ik nog niet kunnen vinden. Ik wil graag dat goed gekeurde updates z.s.m. uitgerold worden maar het moet niet als gevolg hebben dat hij in plaats gezette GPO's gaat negeren.

Is dit mogelijk? Met google kwam ik er in dit geval niet echt uit, vooral ook omdat ik niet echt weet waar ik op moet zoeken in dit geval. De zoekresultaten die ik krijg zijn over het überhaupt uitzetten van auto-restart, maar zo ver was ik uiteraard zelf ook al.

[Turdie]

Ik vond dit op Technet (Configure Automatic Updates by Using Group Policy)

No Auto-restart for Scheduled Automatic Update Installation Options

This policy specifies that to complete a scheduled installation, Automatic Updates will wait for the computer to be restarted by any user who is logged on, instead of causing the computer to restart automatically.

If the status is set to Enabled, Automatic Updates will not restart a computer automatically during a scheduled installation if a user is logged on to the computer. Instead, Automatic Updates will notify the user to restart the computer in order to complete the installation.

Be aware that Automatic Updates will not be able to detect future updates until the restart occurs.

If the status is set to Disabled or Not Configured, Automatic Updates will notify the user that the computer will automatically restart in 5 minutes to complete the installation.

This policy applies only when Automatic Updates is configured to perform scheduled installations of updates. If the Configure Automatic Updates policy is disabled, this policy has no effect.
To inhibit auto-restart for scheduled Automatic Update installation options

1.In Group Policy Object Editor, expand Computer Configuration, expand Administrative Templates, expand Windows Components, and then click Windows Update.
2. In the details pane, click No auto-restart for scheduled Automatic Update installation options, and set the option.
3.Click OK.

Heb je die genoemde policy, die ik heb dikgedrukt/bold aangegeven ook ingesteld? Wat wij doen is gebruikers de pc's na het werk aan te laten staan, en shedule dat updates in die tijd worden geinstalleerd, dat kun je d.m.v die GPO instellen.Dit zal natuurlijk wel extra stroomkosten met zich mee brengen, zorg ook dat je dat goed afdekt intern. Updates zullen dan dus nooit tijdens werktijd uitgerold worden.

[ Voor 8% gewijzigd door Turdie op 04-02-2010 20:13 ]

[Verwijderd]

Bedankt voor je reactie.

De GPO settings staan goed, ik heb WSUS voor de uitrol lopende gehad in een testomgeving exact zoals ik het voor ogen had en het werkte perfect (uiteraard toen zonder deadline, daar ging ik pas mee aan de slag na de uitrol)
Update keur je goed, komt binnen, word gelijk uitgerold, gebruiker krijgt de melding dat er een update is en een herstart moet plaatvinden waar de gebruiker vervolgens gelijk gehoor aan kan geven als het uitkomt, of gewoon annuleren/opschorten tot de computer aan het eind van de werkdag toch afgesloten word.

Ik heb een paar pagina's in google gevonden waar mensen een soortgelijk probleem uitbeelden, het gedrag lijkt dus designmatig dat hij lak heeft aan je GPO's op het moment dat je een deadline gebruikt. In ieder geval als de deadline verstreken is. Helaas bevond zich hier geen oplossing.

De computers aan laten staan is niet echt een optie bij het overgrote deel van het netwerk, het gaat hier om een callcenter en er werken er veel mensen met de werkstations die niet gaan onthouden dat de computer aan moet blijven staan. Die taak dan bij mezelf of een supervisor neerleggen zie ik met 100-ish werkplekken ook niet echt gebeuren.

Voor nu heb ik geaccepteerd geen deadlines te gebruiken maar het liefst gebruik ik ze natuurlijk wel en dan niet met verlies van de GPO settings.

[alt-92]

Functioneel gezien is dat ook precies waarom je een deadline instelt. je wil namelijk dat die update coute que coute geinstalleerd wordt.
En aangezien de installatie pas voltooid wordt bij (update-afhankelijke) reboot....

[Verwijderd]

Ja, dat is aan één kant waar ja.
Aan de andere kant slaat het kant noch wal dat hij in plaats gezette GPOs, die er ook niet voor spek en bonen staan, gewoon negeert omwille van een deadline. We hebben het after all over updates, niet 1 of ander bedrijfskritisch iets dat absoluut niet een paar uur kan wachten.

[alt-92]

Dan moet je er geen deadline op zetten als het niet kritisch is.

[Verwijderd]

Ja maar dan kan het makkelijk een dag/week/meer duren voordat die dingen uitgerold worden en dat is dan ook weer niet helemaal de bedoeling.
Dan heb je dus alleen de keuze om er helemaal geen haast aan te plakken of bloedspoed.
Dat vind ik raar. Gulden middenweg van het direct installeren maar niet direct rebooten is de oplossing die ik zoek. Kan me ook niet indenken dat ik de enige ben hiermee.

[alt-92]

SCCM/SMS2003 gebruiken Of een roll-your-own oplossing.

Besef wel dat je met WSUS een basic, gratis update management oplossing krijgt die dan ook niet elk wenselijk scenario zal afvangen.

[Verwijderd]

Mwah dat lijkt me voor ons ietwat overkill.
WSUS doet effectief waar ik het voor gebruik. Wil alleen kijken of we ook dat laatste puntje nog even uit de weg kunnen ruimen.